Talaan ng mga Nilalaman:
- Ano ang Ginagawa ng CISO
- Ang Landscape para sa Mga Propesyonal sa Seguridad
- Iba pang mga Budget at Seguridad para sa mga SME
Ang mga negosyo ay ina-target ng cyberattacks sa isang nakakagulat na rate. Ang mga pangunahing paglabag sa Target sa Disyembre 2013 at Neiman Marcus noong Enero ng 2014 ay nagningning ng isang malaking malaking pansin sa mga kakulangan ng mga saksakan ng tingi sa kanilang mga inpormasyon sa seguridad. Bilang isang resulta, parami nang parami ang mga kumpanya, parehong malaki at maliit, naramdaman ang pangangailangan na palawakin ang kanilang mga pagsisikap at magkaroon ng isang nakatuong pangkat ng seguridad.
Ayon sa isang ulat na inilabas ng Reuters noong Mayo 2014, ang maraming mga malalaking korporasyon, tulad ng Pepsi at JPMorgan Chase & Co., ay naghahanap ng mga bagong punong pinuno ng security information (CISO) sa isang panukala upang palayasin ang mga kasanayan sa seguridad. Ang ipinapakita nito ay isang higit na kamalayan sa seguridad at ang kahalagahan nito sa antas ng ehekutibo ng negosyo.
Ang mga CISO, at mga punong opisyal ng cybersecurity, ay nalubog sa seguridad ng kanilang teknolohiya, kapwa para sa employer at kliyente, ngunit ang kanilang mga tungkulin at responsibilidad ay nagiging mas malinaw at kailangan sa mata ng pangkalahatang publiko, hindi lamang sa komunidad ng seguridad.
"Limang taon na ang nakalilipas, bahagyang na-crack ang security security ng impormasyon sa nangungunang 10 mga alalahanin ng mga board. Isang taon na ang nakalilipas, ito ay No.2. Kapansin-pansin na ngayon ang seguridad ng data at hindi lamang seguridad ng impormasyon, " sabi ni David Boehmer, kasosyo sa pamamahala ng rehiyon sa recruitment firm na si Heidrick & Mga pakikibaka, sa isang video sa YouTube na ginawa ng kumpanya.)
Ano ang Ginagawa ng CISO
Ang papel ng isang CISO ay maaaring maging malawak, at madalas nilang makita ang kanilang sarili na may suot na maraming magkakaibang mga sumbrero. Ang trabaho ay nagsasangkot ng lahat mula sa panloob na seguridad, tulad ng pamamahala ng seguridad ng intelektuwal na pag-aari, upang maging responsable para sa seguridad ng customer.
"Nakikipagtulungan din ako sa aming produkto ng koponan at engineering team upang maipatupad ang mga tampok sa produkto na maaaring maging kawili-wili sa mga mamimili ng seguridad, " sabi ni Joan Pepin, isang CISO sa Sumo Logic.
Habang ang paglabag sa Target noong nakaraang taon ay tiyak na nakakuha ng maraming tao na nakikipag-usap, ipinaliwanag ni Pepin na hindi siya lahat na nagulat - at alinman sa karamihan sa komunidad ng seguridad. Iyon ay hindi upang sabihin na ang komunidad ng seguridad ay hindi nagkaroon ng "mga sandali ng tubig" bagaman, kung saan kailangan ng lahat upang palakasin ang kanilang trabaho na pasulong.
Ang paglabag sa RSA noong 2011, kung saan nilabag ng mga hacker ang mga server ng impormasyon ng seguridad ng impormasyon at nagnanakaw ng mga token ng pagpapatunay na nagbibigay ng access sa sensitibong data ng gobyerno at korporasyon, ay nagkaroon ng maraming mga propesyonal sa seguridad. Paano mahuhuli ang isang kumpanya ng seguridad sa mga hacker na ganyan? Pagkaraan lamang ng dalawang taon, ang pag-aalala na iyon ay lilipat sa isang target na dati nang lumipad sa ilalim ng radar: mga tingi na customer. Ang mga pag-atake tulad ng mga nakikita sa Target at Neiman Marcus ay nagbago ng pansin sa seguridad para sa pang-araw-araw na customer.
"Malinaw kapag mayroon kang isang napakalaking operasyon ng tingian na may libu-libo at libu-libong mga empleyado, ang lahat ng iba't ibang mga site, point-of-sale machine, iyon ang pinakamahirap na uri ng system at ang katunayan na ang mga uri ng pag-atake na ito ay hindi nangyari sa na uri ng scale mas maaga ay talagang sorpresa sa akin, "sabi ni Pepin.
Ang isyu ay nagmumula sa seguridad na nakikita bilang isang kahon ng tseke para sa mga kumpanya na lagyan ng tsek at iwanan kaysa sa isang palaging policed na aspeto ng kanilang negosyo. Hindi ito nangangahulugang ang mga cybercriminals ay lax at maaari lamang maglakad. Sa katunayan, ang mga cybercriminals ay nagiging mas sanay.
"ay isang medyo sopistikadong paglabag, magagawang ipahiwatig ang ahente ng BMC, at ang mga uri ng mga bagay na stealthy. Upang makisali sa pag-ilid ng paggalaw sa buong network ng Target ay medyo matalino, sinabi ni Pepin.
"Hindi ko nais na ilayo iyon ngunit sa mga tuntunin ng kahirapan sa target, walang puntong inilaan, hindi ko kailanman mailalagay ang anumang mga kadena sa tingian sa isang listahan ng mga matitig na target. Ang mga kumpanya ng seguridad ay mahirap na target, ang gobyerno ay isang matigas na target. Ang ilang mga kadena ng tingian na ang negosyo ay nagbebenta ng mga medyas, hindi ko inaasahan na sila ay isang sobrang ligtas na tindahan. "
Ang Landscape para sa Mga Propesyonal sa Seguridad
Noong Hunyo 2014, inatasan ni Target ang una nitong CISO, si Brad Maiorino, isang dating executive Motors ng General Motors na magbabantay sa isang overhaul ng mga kasanayan sa seguridad ng kumpanya.
Ang mga negosyo, anuman ang kanilang larangan o laki, ay kailangang tandaan at mapahusay ang kanilang laro ng seguridad bilang tugon sa patuloy na lumalagong mga banta na may higit na kamalayan at higit na awtoridad na kumilos sa mga potensyal na paglabag.
"Malinaw … sa Target kaso na ang mga alerto ay nabuo na walang tumugon at na, sa aking karanasan na nagmula sa pinamamahalaang seguridad, ay napaka-pangkaraniwan, sinabi ni Pepin.
"Ang pinakamahusay na sistema ng pagtuklas ng panghihimasok sa mundo ay mayroon pa ring napakataas na maling positibong rate at kaya ang mga tagatugon sa seguridad ay karaniwang sinanay ng kanilang mga system upang huwag pansinin ang kanilang mga system. Mayroong isang agwat ng pakikipag-ugnay sa teknolohikal na tao doon, kung saan ang mga unang sumasagot ay naging manhid sa libu-libong mga alerto na nakukuha nila ang mga basura. Sa kaso ng Target, mayroong ilang mga palatandaan na hindi nasusundan na maaaring makatulong na mabawasan ang epekto nang mas maaga. "
Tulad ng madalas na nangyayari, ang isang propesyonal sa seguridad ay hindi maaaring agad na kumilos sa isang isyu dahil kailangan nila ang clearance o pag-apruba mula sa ibang tao na mas mataas sa hierarchy. Kailangang magbago ito, sabi ni Pepin, na nagpapaliwanag na ang koponan ng seguridad ng isang kumpanya ay dapat magkaroon ng higit na awtonomiya at awtoridad upang gawin ang inisyatibo.
"Nararamdaman ko na ang isyu pa rin ng pamamahala sa punong opisyal ng security information na iyon ay hindi dapat mag-uulat sa CIO, " sabi ni Tom Kellermann, punong opisyal ng cybersecurity sa Trend Micro. "Dapat silang mag-uulat sa punong opisyal ng peligro o direkta sa CEO nang direkta." Pinuputol nito ang maraming mga middlemen at sinisiguro ang isang mas mabilis na oras ng pagtugon sa mga potensyal na emerhensiya.
Sumasang-ayon si Pepin na ang mga propesyonal sa seguridad ay dapat "mag-ulat nang tama sa tuktok" sa kanilang kumpanya. "Masuwerte ako na nag-uulat ako sa aming CEO. Napakabuti nang iyon at iyon ay isang bagay na talagang inirerekumenda ko para sa anumang samahan na sineseryoso ang seguridad nito."
Iba pang mga Budget at Seguridad para sa mga SME
Ang pag-upa ng CISO at pagpapalawak ng iyong pangkat ng seguridad ay maayos at mahusay kung mayroon kang badyet, ngunit ano ang tungkol sa mas maliit na mga kumpanya? Habang ang isang pag-atake sa isang maliit na kadena o ang iyong lokal na tindahan ng hardware ay hindi mag-aani ng parehong mga benepisyo para sa mga hacker dahil sa pagpindot sa isang Target o Neiman Marcus, hindi pa rin marunong na iwanan ang iyong sarili na mahina sa anumang paraan. Kaya ano ang maaari mong gawin upang mapagaan ang panganib ng pag-atake? Mahigpit na inirerekomenda ni Pepin ang pag-upa ng mga serbisyo ng isang kontratista na tumatanggap ng insidente o consultant.
"Kung sakaling ikaw ay inaatake, mayroon kang isang tao na maaari mong tawagan, kaya hindi mo kailangang buksan ang Google at magsimulang maghanap, " aniya.
Ito ay gagawa ng mas pang-ekonomiyang kahulugan para sa isang mas maliit na kumpanya, ipinaliwanag niya, dahil ang negosyo ay gagamitin lamang ang mga serbisyo kapag kinakailangan sila. Ang mga serbisyong ito ay sobrang dalubhasa sa pagpili kung saan tumigil ang iyong kawani.
"Maaari kang magkaroon ng isang kamangha-manghang koponan para sa pagtagumpay, pag-unawa na ikaw ay sa pag-atake ngunit hindi iyon eksaktong eksaktong hanay ng mga kasanayan na kinakailangan upang tumugon sa pag-atake na iyon, upang ruta ang mga ito sa iyong network at upang mangolekta ng katibayan sa isang paraan magamit sa isang korte ng batas. "
Ang mga kumpanya ay may maraming mapagkukunan sa kanilang pagtatapon upang labanan ang cybercrime. Ang kasalukuyang kasaysayan ay nagmumungkahi ng isa pang malaking pag-atake ay nasa paligid lamang.
